データガバナンスとAIガバナンス、両方が必要な理由と両者の関係

データガバナンスとAIガバナンスは、関連しつつも別個の領域であり、対象とするリスクも、必要となるアカウンタビリティの構造も異なります。両者を混同したり、AIガバナンスをデータガバナンスの一部として扱ったりすると、規制当局や監査人が必ず指摘する重大なギャップが残ります。

データガバナンスは、データ資産のライフサイクル全体にわたる管理、すなわちデータがどのように収集、分類、保管、アクセス、利用、保持、廃棄されるかを対象とします。成熟したデータガバナンス・プログラムには、データディクショナリ、データオーナーシップとスチュワードシップに関するアカウンタビリティ、データ品質基準、アクセス制御、法的義務に整合した保持および廃棄のスケジュールが含まれます。データガバナンスはすべてのデータに適用されるものであり、AIシステムで用いられるデータに限られません。

AIガバナンスは、AIシステムがデータを用いて意思決定を行い、または意思決定に情報を与える際に生じる固有のリスクを対象とします。その範囲は、AIシステムへのデータ入力(学習データ、推論データ)、モデルそのもの(設計、学習、検証、バイアス評価、市販後モニタリング)、AIシステムが生み出す意思決定(正確性、公平性、説明可能性、人間による監督)、そしてそれらの意思決定に対する組織のアカウンタビリティ(AIシステムが害を生じさせた場合に誰が責任を負うか)に及びます。AIガバナンスは、データガバナンスには対応物が存在しない一連の統制とアカウンタビリティ構造、すなわちモデルリスク管理、アルゴリズム監査、AI固有のインシデント対応、AI固有の法令に対する規制対応を適用します。

両者の関係は次のとおりです。優れたデータガバナンスは優れたAIガバナンスの前提条件です。AIの出力の品質は、データ入力の品質に直接左右されるからです。しかし、データガバナンスがAIガバナンスの代わりになるわけではありません。データガバナンスが成熟していても、AI固有のリスク、すなわちモデルのバイアス、ハルシネーション、自律的な意思決定、AIベンダーのアカウンタビリティに手を付けていない組織は、管理されないまま放置された重大なエクスポージャーを抱えています。

AIガバナンスがデータガバナンスに求めるもの

AIシステムは、データガバナンス基盤に対して固有の要求を突きつけます。AIの活用が広がるにつれ、組織は次の点に対応しなければなりません。

学習データの品質とリネージ。AIモデルの正確性と公平性は、そのモデルが学習したデータの品質に左右されます。データガバナンスは学習データセットにまで及ぶ必要があります。すなわち、学習データがどこから来たのか、どの属性集団が代表されている(あるいは過少に代表されている)のか、どのようにクレンジングと前処理が行われたのか、どのような品質統制が適用されたのかを文書化することです。高リスクAIシステムに関するEU AI法のデータガバナンス要件(第10条)は、学習用、検証用、テスト用のデータセットが、意図された目的に照らして関連性を有し、十分に代表性を備え、可能な限り誤りのないものであることを求めています。これらの要件は、その土台となるデータガバナンス基盤なしには満たすことができません。

推論データとプライバシー。推論時にAIシステムへ送られるデータ、つまりシステムの出力を駆動する入力は、他の個人データと同じプライバシー上の義務の対象となります。AIモデルへ送るプロンプトに個人情報が含まれる場合(社内で運用しているか、ベンダーのAPI経由かを問わず)、それは1988年プライバシー法(オーストラリア)、GDPR(EU)、その他の適用されるプライバシー法に適合する形で取り扱わなければなりません。これには、当該処理について適切な同意または適法な根拠を確保すること、データ最小化を実装すること、そしてベンダーのデータ処理実務が組織の契約上および規制上の義務を満たすことを確認することが含まれます。

自動化された意思決定の透明性。オーストラリアの2024年プライバシー及びその他法令改正法(Privacy and Other Legislation Amendment Act 2024)は、自動化された意思決定(ADM)に関する透明性義務を導入し、2026年12月10日に発効します。APP事業者(オーストラリア・プライバシー原則の適用事業者)は、個人に法的効果またはそれに準ずる重大な影響を及ぼす実質的に自動化された意思決定において、どの種類の個人情報が用いられるかについての情報を、プライバシーポリシーに記載することが求められます。この義務を果たすには、どの個人情報がどのAI支援型の意思決定プロセスで使われているかを追跡できるデータガバナンス基盤が必要です。

AIシステムに対するデータアクセスと最小権限。AIシステム、とりわけデータに自律的にアクセスし作用しうるエージェント型AIは、人間のユーザーと同じアクセス制御の対象とされなければなりません。APRA(オーストラリア健全性規制庁)が2026年4月に公表したレターは、アイデンティティおよびアクセス管理がAIエージェントのような非人間のアクターにまだ適応できていないと指摘しました。データガバナンスのフレームワークは、AIシステムのアイデンティティを対象に含むよう拡張しなければなりません。具体的には、特定の機能に必要なデータのみにアクセス範囲を絞ること、AIによるデータアクセスをログに記録すること、そして権限を取り消す仕組みを実装することです。

データとAIの統合的なガバナンスを構築する

最も効果的なアプローチは、データガバナンスとAIガバナンスを、基盤を共有し責任分担を連携させた、統合的でありながら別個のプログラムとして扱うことです。

データのレイヤーでは、既存のデータガバナンス基盤、すなわちデータカタログ、データ品質統制、アクセス管理、保持スケジュールを、AIのユースケースに明示的に対応できるよう拡張すべきです。これは、データ資産にAIでの利用状況(学習に利用、推論に利用)をタグ付けし、AI固有のデータ品質要件を追加し、アクセス管理をAIシステムのアイデンティティにまで広げることを意味します。

AIのレイヤーでは、AIガバナンスが、データガバナンスでは提供できないモデル固有のアカウンタビリティを付け加えます。すなわち、モデルリスク管理(モデル検証、バイアス評価、パフォーマンス監視)、AIインシデント対応、AIベンダーのデューデリジェンス、そしてAI固有の義務に対する規制対応です。これらにはアカウンタビリティの構造、典型的には法務、リスク、テクノロジー、事業の各部門の代表が参加するモデルリスク委員会またはAIガバナンス委員会が必要となります。

統合の要となるのがAIインベントリです。これは、利用中のすべてのAIシステム、各システムが用いるデータ、各システムが影響を与える意思決定、そしてそれぞれの責任者を登録した台帳です。このインベントリは、データガバナンス(どのデータがどのAIシステムで使われているかの把握)とAIガバナンス(どのAIシステムに監督が必要かの把握)の双方に役立ちます。APRAは被規制事業者にこうしたインベントリの整備を期待しており、その不在は2026年4月の監督上のエンゲージメントにおける指摘事項となりました。

規制対応の観点から、AIコンプライアンスの一部としてデータガバナンス能力を求めるフレームワークには、次のものがあります。EU AI法(高リスクAIに関する第10条のデータガバナンス要件)、オーストラリアのプライバシー法におけるADM透明性義務(2026年12月)、重要業務におけるデータ品質に関するCPS 230のオペレーショナルリスク管理要件、そしてNIST AIリスクマネジメントフレームワーク(MapおよびMeasureの機能のもとで、データ品質をAIの信頼性の中核的な次元として扱っています)です。

関連記事

さらに読む: ISO/IEC 42001